Panelbejelentkezés: a jelszó önmagában nem védelem

A panelre kerül egy jelszó, és sokan azt hiszik, ezzel vége a munkának. A jelszó viszont egyetlen védelmi vonal, és az erőssége nem ellenőrizhető, csak feltételezhető.

Három dolog változtat ténylegesen a végeredményen.

Egy: próbálkozási korlát

A jelszó erőssége csak akkor jelent valamit, ha a találgatás drága. Korlátlan próbálkozás mellett minden jelszó idő kérdésévé válik, és csak az a különbség, mennyi idő kell hozzá.

A próbálkozási korlát nem teszi erősebbé a jelszót. A találgatást teszi költségessé. Ez két különböző dolog, és a második az üzemeltető kezében van.

Kettő: hol él a munkamenet

A bejelentkezés után nem a jelszó visz tovább, hanem a munkamenet. A valódi kérdés tehát ez: hol él ez a munkamenet, és ki férhet hozzá?

A munkamenetnek a böngészőben olyan helyen kell ülnie, amelyet a szkriptek nem olvashatnak, és úgy kell megjelölni, hogy egy másik oldalon lévő lap ne küldhessen kéréseket a felhasználó nevében. Különben egy nyitva felejtett lap a felhasználó jogosultságával léphet fel.

Három: második lépcső

Ez az egyetlen intézkedés, amely nem hagyja életben a kiszivárgott jelszót. A jelszó ellopható, kitalálható, vagy egy másik oldal szivárgásából érkezhet. A második lépcső ezek közül semmit nem akadályoz meg, csak azt biztosítja, hogy a jelszó önmagában ne legyen elég.

Azoknál a fiókoknál érdemes bekapcsolni, amelyek változtatni tudnak. A csak megtekintő fiókoknál ízlés kérdése.

A legtöbbe kerülő feltételezés: "helyi hálózaton vagyok"

Ez a mondat a biztonság oldalán a leggyakrabban ismételt és a legtévesebb állítás.

Érdemes számba venni, mi van a helyi hálózaton: a vendégeknek adott vezeték nélküli kapcsolat, egy évek óta nem frissített okoseszköz, a gyerekek gépe, és a saját szerveren futó összes virtuális gép.

Az utolsó szokott a legkevésbé szembeötlő lenni. Az internetről letöltött szoftver virtuális gépben futtatva is a helyi hálózaton van, és eléri a panel bejelentkezési oldalát.

A "nem tettem ki kifelé" tehát nem azt jelenti, hogy "senki nem próbálkozhat". Csak annyit jelent, hogy "nem próbálkozhat bárki az internetről". A különbség az, ki van elég közel a próbálkozáshoz.

Teendők sorrendben

A panel ne legyen közvetlenül kitéve az internetnek. Ha távoli elérés kell, egy réteget érdemes közbeiktatni.

Legyen próbálkozási korlát. Enélkül a helyi hálózatról ingyen lehet jelszót találgatni.

A változtatni tudó fiókokra kerüljön második lépcső.

A napi munka ne a legtöbb jogosultsággal bíró fiókkal folyjon. Ennek külön cikke van ebben a wikiben, és ennek a folytatásának számít: a bejelentkezés védettsége mellett külön kérdés, mennyit változtathat az, aki belép.

Mit csinál az Atlas

Az Atlas bejelentkezési kapuján próbálkozásszámláló ül, és a számláló forráscímenként külön fut. Öt perces ablakon belül tíz hibás próbálkozás után az a cím tizenöt percre tiltásra kerül.

Hogy ez miért van így, azt a kód saját megjegyzése mondja meg, és pontosan ennek a cikknek a tárgya: a Proxmoxnak van saját késleltetése, de az ügynök kapujában is meg kell állítani, különben a helyi hálózatról ingyen lehet jelszót találgatni.

A munkamenet oldalán két jelölés működik együtt. A munkamenet azonosítója a böngészőben olyan formában marad, amelyet a szkriptek nem olvashatnak, és úgy van megjelölve, hogy másik oldalról érkező kérésekkel ne induljon el. Így egy nyitva felejtett lapon lévő oldal nem tudja rávenni a böngészőt a munkamenet használatára.

Egy őszinte korlát: mindebből semmi nem teszi erősebbé a jelszót. A találgatást drágítja, és a munkamenetet kiveszi a lopható kategóriából. Maga a jelszó továbbra is a felhasználó döntése, és a második lépcső bekapcsolása is.